CVE-2026-86066
Açıklama
Horilla bir İK ve CRM yazılımıdır. 2.0.0 sürümünden önce, /attendance/approve-validate-attendance-request/ konumundaki approve_validate_attendance_request; attendance.save() fonksiyonunu çağırmadan önce bir HTTP GET isteği aracılığıyla attendance_validated, is_validate_request_approved, approved_by ve ilgili bekleyen istek durumlarını değiştirir, bu nedenle Django işlem için CSRF doğrulaması gerektirmez. Kimliği doğrulanmamış bir saldırgan, attendance.change_attendance yetkisine sahip giriş yapmış bir yöneticinin, yöneticinin SameSite=Lax oturum çerezini taşıyan üst düzey bir istek yapmasına neden olarak kurbanın ayrıcalıklarıyla sessizce katılım onaylamasını sağlayabilir ve onayı denetim izinde kurbana atfedebilir. Bu sorun 2.0.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| horilla horilla-hr | < 2.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.